UK DUAA: Das britische Data (Use and Access) Act 2025

Der UK Data (Use and Access) Act 2025 (DUAA) erhielt am 19. Juni 2025 die königliche Zustimmung. Das Gesetz ändert die UK General Data Protection Regulation (UK GDPR) und die Privacy and Electronic Communications Regulations (PECR) und reduziert den administrativen Aufwand für Unternehmen, während die zentralen Datenschutzbestimmungen erhalten bleiben.

UK Data (Use and Access) Act 2025: Was das für die Datenschutz-Compliance bedeutet

Anerkannte berechtigte Interessen: Eine neue Rechtsgrundlage

Der DUAA schafft eine neue Rechtsgrundlage für die Verarbeitung personenbezogener Daten: anerkannte berechtigte Interessen (Artikel 6 Abs. 1 lit. ea).

Unter dem bisherigen UK-GDPR-Rahmen musste jede Organisation, die sich auf berechtigte Interessen berief, eine Interessenabwägungsprüfung (Legitimate Interests Assessment, LIA) durchführen – eine Abwägung zwischen geschäftlichen Erfordernissen und individuellen Rechten. Der DUAA hebt diese Anforderung für bestimmte Tätigkeiten auf, die nun automatisch als rechtmäßig gelten:

• Verhütung, Aufdeckung und Ermittlung von Straftaten
• Schutz gefährdeter Personen
• Reaktion auf Schutznotfälle
• Nationale Sicherheit und öffentliche Verteidigung
• Unterstützung von Stellen, die gesetzlich sanktionierte Aufgaben im öffentlichen Interesse erfüllen

Direktmarketing, konzerninterner Datenaustausch und Netzwerksicherheit fallen nicht unter diese Liste, sodass hierfür weiterhin eine LIA erforderlich ist. Doch für Unternehmen in den Bereichen Finanzen, Social Media und Einzelhandel, die Daten zur Betrugsprävention oder IT-Sicherheit verarbeiten, entfällt mit der neuen Rechtsgrundlage ein wesentlicher Compliance-Schritt.

Cookie-Einwilligung: Weniger Anforderungen für risikoarme Cookies

Ab dem 5. Februar 2026 benötigen vier Cookie-Kategorien im Rahmen der DUAA-Änderungen an der PECR keine vorherige Einwilligung mehr. Analyse-Cookies, Funktionalitäts-Cookies, Sicherheits-Cookies und Software-Update-Cookies fallen alle unter die neuen ausgenommenen Kategorien, sofern jede von ihnen ausschließlich für ihren angegebenen Zweck verwendet wird. Ein Sicherheits-Cookie, der für Verhaltens-Tracking zweckentfremdet wird, würde beispielsweise weiterhin eine Einwilligung erfordern.

Die britische Regierung hatte diese Richtung bereits seit 2022 signalisiert, als sie erstmals vorschlug, Einwilligungs-Pop-ups für risikoarme Aktivitäten wie die Reichweitenmessung abzuschaffen. Wenn Sie bislang Einwilligungsbanner für diese Kategorien verwendet haben, sind diese möglicherweise nicht mehr gesetzlich vorgeschrieben. Der Wegfall des Banners hebt jedoch nicht die Pflicht auf. Sie müssen Nutzern weiterhin mitteilen, welche Cookies Sie einsetzen, und ihnen eine klare Möglichkeit zum Opt-out bieten.

Eine Zahl, die man im Hinterkopf behalten sollte: Das Höchstbußgeld für Nichteinhaltung der Cookie-Vorschriften ist von 500.000 £ auf den höheren Betrag von 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes gestiegen. Die Ausnahmen sind enger gefasst, als es zunächst scheinen mag, und die Konsequenzen einer fehlerhaften Anwendung sind erheblich höher als zuvor.

Auskunftsersuchen betroffener Personen: Ein verhältnismäßigerer Maßstab

Die Beantwortung von Auskunftsersuchen betroffener Personen (Data Subject Access Requests, DSARs) über weitverzweigte Datenumgebungen hinweg war lange einer der operativ mühsamsten Teile der UK-GDPR-Compliance. Der DUAA kodifiziert einen Standard der „angemessenen und verhältnismäßigen“ Suche, was bedeutet, dass nicht mehr erwartet wird, dass Sie für jede Anfrage jedes System erschöpfend durchsuchen. Das ICO hatte diesen Ansatz bereits zuvor in Leitlinien empfohlen, doch nun erhält er gesetzliche Verbindlichkeit. Dokumentieren Sie Ihre Methodik zur DSAR-Suche, damit Sie den Aufsichtsbehörden zeigen können, wie eine verhältnismäßige Suche für Ihre Organisation aussieht. Wenn Rechtsprivileg oder Vertraulichkeitspflichten eine vollständige Offenlegung verhindern, verpflichtet das Gesetz Sie, diesen Umstand transparent darzulegen. Der DUAA führt zudem einen Mechanismus zur Fristunterbrechung ein. Wenn eine Anfrage ungewöhnlich komplex ist oder eine Klarstellung durch die betroffene Person erfordert, können Sie die einmonatige Antwortfrist pausieren. Der bisherige Rahmen erlaubte nur eine feste Verlängerung um zwei Monate und gestattete keine Unterbrechung der Frist.

Automatisierte Entscheidungsfindung: Reduzierte Einschränkungen

Die bisherige UK GDPR gewährte Einzelpersonen einen starken Schutz gegen ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich bedeutsamer Wirkung. Der DUAA beschränkt diesen Schutz auf Situationen, die besondere Kategorien personenbezogener Daten betreffen: Gesundheitsdaten, rassische oder ethnische Herkunft, biometrische Daten, religiöse Überzeugungen und Ähnliches.

Bei Entscheidungen, die ausschließlich auf nicht besonderen Datenkategorien beruhen, entfallen diese Einschränkungen. Die Schutzmaßnahmen, die an ihre Stelle treten, sind jedoch nicht trivial. Betroffene Personen erhalten das Recht, Stellungnahmen abzugeben und eine menschliche Überprüfung jeder sie betreffenden automatisierten Entscheidung zu verlangen.

Sind besondere Kategorien personenbezogener Daten betroffen, ändert sich nichts, und der volle bisherige Schutz gilt weiterhin. Wenn Sie sowohl im Vereinigten Königreich als auch in der EU tätig sind, behält die EU-DSGVO weiterhin einen umfassenderen Schutz bei der automatisierten Entscheidungsfindung, unabhängig von der Datenkategorie. Für jede Rechtsordnung benötigen Sie separate Compliance-Ansätze.

Regulierungsstruktur und Beschwerderechte

Das Information Commissioner's Office wird zur Information Commission umbenannt und wechselt von einem Einzelkommissar-Modell zu einem von einem Vorsitzenden geleiteten Gremium. Die Änderung der Governance-Struktur soll die Rechenschaftspflicht stärken, doch der unmittelbarere operative Wandel betrifft die Durchsetzungsfähigkeit. Die Information Commission erhält zwei bedeutende neue Befugnisse: verbindliche Bewertungsbescheide, die Organisationen zur Erstellung von Untersuchungsberichten zu Datensicherheitsfragen verpflichten können, sowie Vorladungen zu Anhörungen, die Einzelpersonen zur Aussage im Rahmen von Untersuchungen verpflichten. Beide Befugnisse gelten sowohl für die UK GDPR als auch für die PECR und verschaffen der Aufsichtsbehörde einen direkteren Zugang zu Datenvorfällen, ohne auf freiwillige Kooperation angewiesen zu sein. Ab dem 19. Juni 2026 erhalten Einzelpersonen ein gesetzliches Recht, gemäß Section 164A des DPA 2018 Beschwerden direkt bei Verantwortlichen einzureichen. Sie sind verpflichtet, Beschwerden innerhalb von 30 Tagen zu bestätigen und ohne unangemessene Verzögerung zu beantworten. Wenn Ihre Organisation noch keinen formellen Prozess zur Bearbeitung von Beschwerden in Datenschutzangelegenheiten hat, sollten Sie diesen vor dieser Frist einrichten.

Zweckbindung und Definitionen zur Forschung

Der DUAA führt Artikel 8A ein, der festlegt, wann eine Weiterverarbeitung personenbezogener Daten mit dem ursprünglichen Erhebungszweck vereinbar ist. Für jede Sekundärnutzung ist weiterhin eine gesonderte Rechtsgrundlage erforderlich, doch Artikel 8A legt drei Umstände fest, unter denen eine Weiterverarbeitung als vereinbar gilt: wenn die betroffene Person dem neuen Zweck zugestimmt hat, wenn der Zweck wissenschaftliche oder historische Forschung oder Archivierung im öffentlichen Interesse ist, oder wenn er unter die in Anlage 2 des Gesetzes aufgeführten zusätzlichen Kategorien fällt.

Die Definition der wissenschaftlichen Forschung wurde zudem erweitert, um privat finanzierte und kommerzielle Forschung einzuschließen. Wenn Ihre Organisation Marktforschung, klinische Studien oder datengetriebene Produktentwicklung betreibt, stehen Ihnen die Forschungsausnahmen, die zuvor nur für akademische oder gemeinnützige Arbeit galten, nun möglicherweise ebenfalls zur Verfügung.

Online-Dienste für Kinder

Der DUAA führt ausdrückliche Pflichten für Dienste ein, auf die voraussichtlich auch Kinder zugreifen. Diese Dienste müssen nun bei der Verarbeitung personenbezogener Daten festgelegte „höhere Schutzbelange für Kinder“ berücksichtigen, bewerten, ob ihre Datenpraktiken angemessene Schutzmaßnahmen für jüngere Nutzer bieten, und in Datenschutzhinweisen klar erläutern, wie die Daten von Kindern erhoben und verwendet werden.

Diese Anforderung besteht neben dem bestehenden Age Appropriate Design Code (dem Children's Code). Wenn Sie bereits den Children's Code einhalten, sind Sie wahrscheinlich größtenteils auf dem richtigen Weg, sollten aber prüfen, ob die Formulierung des DUAA zusätzliche Pflichten in Bezug auf Transparenz und die Dokumentation kinderspezifischer Verarbeitungsentscheidungen einführt.

Internationale Datenübermittlungen: Gelockerter Standard

Der DUAA ersetzt den Standard des „im Wesentlichen gleichwertigen“ Schutzniveaus für internationale Übermittlungen durch einen weniger anspruchsvollen Test des „nicht wesentlich niedrigeren“ Niveaus. Die Regierung hat signalisiert, dass sie aufgrund dieser Änderung keine unmittelbaren Pläne hat, Übermittlungen in neue Länder zu genehmigen, und der Angemessenheitsbeschluss der EU für das Vereinigte Königreich wurde im Dezember 2025 erneuert und gilt bis Dezember 2031.

Die wachsende Divergenz zwischen den Übermittlungsregeln des Vereinigten Königreichs und der EU ist beobachtenswert. Organisationen mit grenzüberschreitenden Datenflüssen sollten die Entwicklung im Blick behalten, insbesondere angesichts der Schlussfolgerung der EU-Kommission, dass der britische Rahmen weiterhin im Wesentlichen gleichwertig ist. Diese Schlussfolgerung wird nicht zwangsläufig unbegrenzt Bestand haben, da sich die beiden Regelwerke weiter auseinanderentwickeln.

Was das für Ihr Compliance-Programm bedeutet

Für die meisten Organisationen zeigt sich die praktische Wirkung des DUAA in vier Bereichen:

1. Reduzierte LIA-Pflichten für Betrugsprävention, IT-Sicherheit und Direktmarketing-Aktivitäten
2. Einfachere DSAR-Antworten nach dem verhältnismäßigen Suchstandard
3. Überarbeitete Cookie-Strategien für Analyse- und Funktionalitäts-Cookies
4. Neue interne Beschwerdebearbeitungsprozesse, erforderlich vor Juni 2026

Wenn Sie sowohl im Vereinigten Königreich als auch in der EU tätig sind, übertragen Sie DUAA-Änderungen nicht auf Ihre EU-bezogenen Aktivitäten. Die EU-DSGVO gilt dort weiterhin uneingeschränkt, und die Divergenz zwischen den beiden Regelwerken ist bei der automatisierten Entscheidungsfindung und den internationalen Übermittlungen am stärksten ausgeprägt.

Nutzen Sie UniConsent, um die britischen Datenschutzvorschriften einzuhalten

Der DUAA ändert, was Sie den Aufsichtsbehörden nachweisen müssen, wann Sie es nachweisen müssen und was als gültiges Einwilligungssignal zählt. UniConsent übernimmt die Kategorisierung von Cookies, die Protokollierung von Einwilligungen und Prüfpfade, damit Ihre Compliance mit den Vorschriften Schritt hält – nicht nur mit Ihrem letzten Überprüfungszyklus.

Wenn Sie sich mit den Auswirkungen des DUAA befassen, beginnen Sie hier:

• Überprüfen Sie Ihre Cookie-Kategorien: Nutzen Sie den UniConsent Cookie Scanner, um zu prüfen, welche Cookies auf Ihrer Website nun unter die ausgenommenen Kategorien fallen und welche weiterhin eine Einwilligung erfordern.
• Aktualisieren Sie Ihren Datenschutzhinweis: Bilden Sie die Änderungen bei den Rechtsgrundlagen, der Zweckbindung und Ihrem Beschwerdebearbeitungsprozess ab.
• Bereiten Sie sich auf Juni 2026 vor: Bauen Sie den Prozess zur Bestätigung und Beantwortung von Verbraucherbeschwerden vor der Frist auf, nicht erst danach.
• Prüfen Sie Ihren DSAR-Workflow: Dokumentieren Sie, wie eine angemessene und verhältnismäßige Suche für Ihre spezifische Datenumgebung aussieht.
• Überprüfen Sie Ihre automatisierte Verarbeitung: Wenn besondere Kategorien personenbezogener Daten an automatisierten Entscheidungen beteiligt sind, stellen Sie sicher, dass Ihre Schutzmaßnahmen sowohl nach britischem als auch nach EU-Recht weiterhin geeignet sind.

Über UniConsent

UniConsent ist eine von der EU IAB und IAB Canada zertifizierte Consent-Management-Plattform (CMP). Zudem ist es ein von Google zertifizierter CMP-Partner der Gold-Stufe. Kontaktieren Sie uns, um mehr zu erfahren: hello@uniconsent.com